Le fournisseur doit-il avoir un contrat avec son propre hébergeur ?

Oui, selon la CNIL : pour un hébergement distant, il faut un contrat de sous-traitance avec l'hébergeur du système et, le cas échéant, avec le fournisseur.

Le contrat doit-il dire si mes données servent à entraîner l'IA ?

Il faut le vérifier par écrit. La CNIL indique qu'il faut analyser au cas par cas si le fournisseur peut réutiliser les données. Pour Anthropic, les conditions commerciales disent qu'il ne peut pas entraîner ses modèles sur le contenu client.

Que faire si le fournisseur ne veut pas de contrat ?

Ne pas lui confier de données personnelles. La CNIL recommande, pour un service grand public, de ne pas partager de données personnelles, et, pour des données personnelles, un déploiement sur site paraît généralement plus opportun.

Contrat avec un fournisseur d'IA : clauses à vérifier

Un fournisseur d'IA qui reçoit des données personnelles de votre part les traite souvent pour votre compte. La CNIL le définit ainsi : le sous-traitant est l'organisme qui traite des données pour le compte d'un autre organisme, dans le cadre d'un service ou d'une prestation. Dans ce cas, le contrat doit prévoir ses obligations. Sans contrat clair, vous ne savez pas ce qui est permis, ni qui répond d'un incident.

Le texte de l'article 28 du RGPD, qui détaille le contenu de ce contrat, n'a pas pu être lu pour cette page. Voir la source officielle du règlement pour le détail légal. Ce que la page décrit ci-dessous vient des points lus sur le site de la CNIL et des conditions du fournisseur cité en exemple.

Les obligations que la CNIL cite

La CNIL indique que les obligations du sous-traitant doivent être présentes dans le contrat. Elle en cite quatre familles :

Transparence et traçabilité : le fournisseur doit pouvoir montrer ce qu'il fait avec les données.
Protection dès la conception et par défaut : les réglages protecteurs doivent être actifs sans action de votre part.
Garantie de la sécurité des données traitées.
Assistance, alerte et conseil, avec notamment la notification des violations de données.

Les clauses à vérifier

Clause	Ce qu'il faut trouver	Vérifié
Objet et durée du traitement	Ce que le fournisseur fait avec les données, et pour combien de temps
Catégories de données	Les types de données traitées, avec exclusion des données sensibles si l'offre le prévoit
Réutilisation	Interdiction ou conditions d'entraînement sur vos données
Sous-traitants ultérieurs	Liste des autres organismes qui traitent les données
Lieu de traitement	Pays de stockage et de traitement, mécanisme de transfert
Sécurité	Mesures décrites, et engagement à les maintenir
Notification	Délai et contenu de l'information en cas de violation
Fin du contrat	Destruction ou restitution des données, avec exceptions

L'exemple des conditions d'Anthropic

Les conditions commerciales d'Anthropic, en vigueur depuis le 17/06/2025, disent qu'Anthropic ne peut pas entraîner ses modèles sur le contenu client, et que ce contenu est une information confidentielle du client. Elles renvoient les traitements de données personnelles à un accord de traitement des données, incorporé par référence. Le contenu de cet accord n'a pas été lu pour cette page. Il faut le demander et le lire avant de signer ou d'accepter quoi que ce soit.

Les conditions ne qualifient pas Anthropic de sous-traitant dans leur texte. C'est l'accord de traitement qui doit le préciser.

Méthode de négociation

Demander le contrat et l'accord de traitement, et non un résumé commercial.
Cocher les clauses du tableau une à une, en notant la page et le paragraphe.
Poser les questions qui manquent par écrit, avec une date de réponse.
Classer le fournisseur : clauses complètes, clauses partielles, clauses absentes.
Décider avec le dirigeant. Un fournisseur sans clauses claires reçoit seulement des données du niveau public ou interne.

Liste de vérification

Le contrat ou l'accord de traitement est disponible et daté.
La réutilisation pour l'entraînement est écrite noir sur blanc.
Les sous-traitants ultérieurs sont listés.
Le lieu de traitement est précisé, avec le mécanisme de transfert.
La destruction en fin de contrat est prévue.

Le lieu de stockage et les transferts hors de l'Union européenne sont traités dans la page hébergement et pays. La différence entre offre grand public et offre professionnelle est dans la page offre pro ou grand public. Si une clause est ambiguë, la page limites indique quand demander un avis à un juriste.